可能的符號鏈接攻擊

每一個時間我想升級或安裝PEAR包我得到以下一系列錯誤信息：可能的符號鏈接攻擊

C:>pear upgrade
Error getting channel info from pear.php.net: SECURITY ERROR: Will not write to C:\Users\ALVARO.GONZALEZ\AppData\Local\Temp\pear\cache\6d1f6e892384ae452db9a1bd59ee95f5rest.cacheid as it is symlinked to C:\Users\ALVARO.GONZALEZ\AppData\Local\Temp\pear\cache\6d1f6e892384ae452db9a1bd59ee95f5rest.cacheid - Possible symlink attack
[...]

是它在說什麼符號鏈接？當我複製和粘貼兩個路徑，並通過邊把它們側老實說，我不能看出其中的區別：

C:\Users\ALVARO.GONZALEZ\AppData\Local\Temp\pear\cache\6d1f6e892384ae452db9a1bd59ee95f5rest.cacheid 
C:\Users\ALVARO.GONZALEZ\AppData\Local\Temp\pear\cache\6d1f6e892384ae452db9a1bd59ee95f5rest.cacheid

錯誤消失時，我清空緩存目錄：

C:\>pear clear-cache 
reading directory C:\Users\ALVARO.GONZALEZ\AppData\Local\Temp\pear\cache 
74 cache entries cleared

...直到下一次我需要安裝東西。

我的問題是：

爲什麼這些錯誤被觸發？
有沒有辦法阻止他們擺在首位呢？

編輯：有一個open ticket這個在2011年年底提交的問題是由安全修補程序Symlink attack in PEAR install引起的。我會報告出來的。

來源

2013-02-28 Álvaro González

的問題是一個PEAR錯誤：

Bug #18056 regression on windows

的錯誤是固定的PEAR 1.9.5，於2014年7月12日發佈。

來源

2014-07-22 09:38:05

刪除梨\緩存目錄中的全部內容在用戶目錄C：\用戶\ ALVARO.GONZALEZ \應用程序數據\本地的\ Temp \梨\緩存\

那麼你應該能夠做到梨安裝

來源

2014-01-15 22:04:40 billrichards

'pear clear-cache'清空該目錄。爲什麼我需要手動執行？那會解決什麼？ – 2014-01-16 09:02:56

我的歉意，我很快讀到這個，並沒有意識到你真正的問題。以爲你只是想「讓它工作」一次。你是對的，pear clear-cache做同樣的事情。 – billrichards 2014-01-16 13:30:30

沒關係，我想確保我沒有錯過任何東西。到目前爲止，我的結論是這是一個安全機制變壞了，但是PEAR項目很不穩定。 – 2014-01-16 14:59:26

可能的符號鏈接攻擊

回答

相關問題